refactor(k8s): schlanker Umfang, Postgres und Medien auf SMB

Auf Wunsch des Betreibers auf das Noetige reduziert: StatefulSet
PostgreSQL, Services, Ingress, App-Deployment, zwei SMB-PersistentVolumes
(Postgres-Daten, Medien). Beibehalten nach Absprache: Worker-CronJob
(Folgeraten, Reservierungsfreigabe, Mail-Wiederholung), ConfigMap und die
NetworkPolicies (Sicherheitsbefund Rate-Limit-Umgehung).

- Migration als initContainer im App-Deployment statt eigenem Job
- Entfernt: Backup-CronJob/-Volume (NAS sichert die Freigabe),
  Migrations-CronJob, PodDisruptionBudget, HTTP-Redirect-Ingress und
  Middleware, Namespace-Objekt (einmalig von Hand anzulegen)
- PostgreSQL auf SMB als bewusste, dokumentierte Ausnahme mit
  hard, cache=strict, SMB 3.1.1 + seal, uid 70 / 0700

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/base/app.yaml

@@ -2,8 +2,10 @@
 # Reservierungen, Rate Limits, E-Mail-Ausgang und Zahlungsjobs liegen in
 # PostgreSQL — beliebig viele Replikate moeglich.
 #
-# Migrationen laufen NICHT beim Start, sondern als eigener, kontrollierter
-# Schritt (jobs.yaml, CronJob "artista-modelcamp-migrate", siehe docs/BETRIEB.md).
+# Migrationen laufen als eigener Schritt VOR dem App-Container: initContainer
+# "migrate" (Werkzeug-Image, `prisma migrate deploy`). Scheitert er, startet
+# die App nicht. Mehrere Replikate gleichzeitig sind unkritisch — Prisma
+# serialisiert Migrationen ueber eine Datenbank-Sperre.
 apiVersion: apps/v1
 kind: Deployment
 metadata:
@@ -37,6 +39,18 @@ spec:
           labelSelector:
             matchLabels:
               app.kubernetes.io/name: artista-modelcamp-app
+      initContainers:
+        - name: migrate
+          image: artista-modelcamp-tools
+          command: ["prisma", "migrate", "deploy"]
+          envFrom:
+            - secretRef: { name: artista-modelcamp-secrets }
+          resources:
+            requests: { cpu: 50m, memory: 128Mi }
+            limits: { memory: 512Mi }
+          securityContext:
+            allowPrivilegeEscalation: false
+            capabilities: { drop: ["ALL"] }
       containers:
         - name: app
           image: artista-modelcamp
@@ -117,13 +131,3 @@ spec:
         - port: 3000
     # Kubelet-Probes kommen vom Knoten und sind von NetworkPolicies je nach
     # CNI (Canal/Calico in RKE2) ausgenommen.
----
-apiVersion: policy/v1
-kind: PodDisruptionBudget
-metadata:
-  name: artista-modelcamp-app
-spec:
-  minAvailable: 1
-  selector:
-    matchLabels:
-      app.kubernetes.io/name: artista-modelcamp-app

k8s/base/config.yaml

@@ -1,11 +1,7 @@
-apiVersion: v1
-kind: Namespace
-metadata:
-  name: artista
-  labels:
-    # Pod Security Admission: nur eingeschraenkte (non-root) Pods.
-    pod-security.kubernetes.io/enforce: restricted
----
+# Der Namespace "artista" wird einmalig von Hand angelegt:
+#   kubectl create namespace artista
+#   kubectl label namespace artista pod-security.kubernetes.io/enforce=restricted
+#
 # Nicht geheime Einstellungen. Geheimnisse: k8s/secret.example.yaml.
 apiVersion: v1
 kind: ConfigMap
@@ -23,26 +19,8 @@ data:
   MEDIA_DIR: "/app/media"
   EXTERNAL_VIDEO_PROVIDER: "none"
 ---
-# Freigegebene Bilder und Videos (Unterkunft, Portraets, Feedback-Videos).
-# Dauerhaft, deshalb ein PersistentVolumeClaim und KEIN emptyDir.
-#
-# ReadWriteMany, weil mehrere App-Replikate dasselbe Verzeichnis lesen.
-# Geeignet: z. B. Longhorn (RWX), NFS oder eine SMB/CSI-Freigabe — fuer
-# Medien ist ein Netzwerkdateisystem unkritisch (anders als fuer PostgreSQL).
-# Steht nur ReadWriteOnce zur Verfuegung: replicas im Deployment auf 1 setzen.
-apiVersion: v1
-kind: PersistentVolumeClaim
-metadata:
-  name: artista-modelcamp-media
-spec:
-  accessModes: ["ReadWriteMany"]
-  # storageClassName: longhorn
-  resources:
-    requests:
-      storage: 5Gi
----
 # Die Datenbank ist nur fuer Pods mit dem Label artista/db-client erreichbar
-# (App, Migration, Worker, Sicherung).
+# (App inkl. Migrations-initContainer, Worker).
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:

k8s/base/jobs.yaml

@@ -1,159 +0,0 @@
-# --- Migration ----------------------------------------------------------------
-# Als SUSPENDIERTER CronJob definiert, damit Kustomize das Image mit der
-# App gleichzieht. Er laeuft nie von selbst, sondern bewusst vor jedem
-# Rollout:
-#   kubectl -n artista create job migrate-$(date +%Y%m%d%H%M) --from=cronjob/artista-modelcamp-migrate
-#   kubectl -n artista wait --for=condition=complete job/migrate-… --timeout=5m
-apiVersion: batch/v1
-kind: CronJob
-metadata:
-  name: artista-modelcamp-migrate
-spec:
-  suspend: true
-  schedule: "0 0 1 1 *"
-  jobTemplate:
-    spec:
-      backoffLimit: 0
-      ttlSecondsAfterFinished: 86400
-      template:
-        metadata:
-          labels:
-            artista/db-client: "true"
-        spec:
-          restartPolicy: Never
-          automountServiceAccountToken: false
-          securityContext:
-            runAsNonRoot: true
-            runAsUser: 1001
-            seccompProfile: { type: RuntimeDefault }
-          containers:
-            - name: migrate
-              image: artista-modelcamp-tools
-              command: ["prisma", "migrate", "deploy"]
-              envFrom:
-                - secretRef: { name: artista-modelcamp-secrets }
-              resources:
-                requests: { cpu: 50m, memory: 128Mi }
-                limits: { memory: 512Mi }
-              securityContext:
-                allowPrivilegeEscalation: false
-                capabilities: { drop: ["ALL"] }
----
-# --- Worker -------------------------------------------------------------------
-# Gibt abgelaufene Reservierungen frei (nach Rueckfrage bei Stripe), zieht
-# faellige Raten ein, trennt Zahlungsmethoden nach der letzten Rate,
-# versendet den E-Mail-Ausgang. Idempotent; Forbid verhindert
-# ueberlappende Laeufe zusaetzlich.
-apiVersion: batch/v1
-kind: CronJob
-metadata:
-  name: artista-modelcamp-worker
-spec:
-  schedule: "*/10 * * * *"
-  timeZone: "Europe/Berlin"
-  concurrencyPolicy: Forbid
-  startingDeadlineSeconds: 300
-  successfulJobsHistoryLimit: 3
-  failedJobsHistoryLimit: 5
-  jobTemplate:
-    spec:
-      backoffLimit: 1
-      activeDeadlineSeconds: 900
-      template:
-        metadata:
-          labels:
-            artista/db-client: "true"
-        spec:
-          restartPolicy: Never
-          automountServiceAccountToken: false
-          securityContext:
-            runAsNonRoot: true
-            runAsUser: 1001
-            seccompProfile: { type: RuntimeDefault }
-          containers:
-            - name: worker
-              image: artista-modelcamp-tools
-              command: ["tsx", "scripts/worker.ts"]
-              envFrom:
-                - configMapRef: { name: artista-modelcamp-config }
-                - secretRef: { name: artista-modelcamp-secrets }
-              resources:
-                requests: { cpu: 50m, memory: 192Mi }
-                limits: { memory: 512Mi }
-              securityContext:
-                allowPrivilegeEscalation: false
-                capabilities: { drop: ["ALL"] }
----
-# --- Sicherung ----------------------------------------------------------------
-# Taeglicher pg_dump mit 30 Tagen Aufbewahrung. Das Backup-Volume darf ein
-# Netzwerkspeicher (NFS/SMB) sein. Zusaetzlich regelmaessig aus dem Cluster
-# kopieren (docs/BETRIEB.md, "Sicherung und Wiederherstellung").
-apiVersion: v1
-kind: PersistentVolumeClaim
-metadata:
-  name: artista-modelcamp-db-backup
-spec:
-  accessModes: ["ReadWriteOnce"]
-  # storageClassName: smb-backup
-  resources:
-    requests:
-      storage: 10Gi
----
-apiVersion: batch/v1
-kind: CronJob
-metadata:
-  name: artista-modelcamp-db-backup
-spec:
-  schedule: "15 3 * * *"
-  timeZone: "Europe/Berlin"
-  concurrencyPolicy: Forbid
-  failedJobsHistoryLimit: 5
-  jobTemplate:
-    spec:
-      backoffLimit: 2
-      template:
-        metadata:
-          labels:
-            artista/db-client: "true"
-        spec:
-          restartPolicy: OnFailure
-          automountServiceAccountToken: false
-          securityContext:
-            runAsNonRoot: true
-            runAsUser: 70
-            runAsGroup: 70
-            fsGroup: 70
-            seccompProfile: { type: RuntimeDefault }
-          containers:
-            - name: pg-dump
-              # Gleiche Hauptversion wie der Server.
-              image: postgres:18.1-alpine
-              env:
-                - name: PGPASSWORD
-                  valueFrom:
-                    secretKeyRef: { name: artista-modelcamp-secrets, key: DB_PASSWORD }
-              command: ["/bin/sh", "-c"]
-              args:
-                - |
-                  set -eu
-                  set -o pipefail
-                  target="/backup/artista-$(date -u +%Y-%m-%d_%H%M).dump"
-                  # Custom-Format: komprimiert, selektiv wiederherstellbar.
-                  pg_dump --host=artista-modelcamp-postgres --username=artista --dbname=artista \
-                    --format=custom --file="${target}.partial"
-                  mv "${target}.partial" "${target}"
-                  find /backup -name 'artista-*.dump.partial' -mtime +1 -delete
-                  find /backup -name 'artista-*.dump' -mtime +30 -delete
-                  ls -lh /backup
-              resources:
-                requests: { cpu: 50m, memory: 128Mi }
-                limits: { memory: 256Mi }
-              securityContext:
-                allowPrivilegeEscalation: false
-                capabilities: { drop: ["ALL"] }
-              volumeMounts:
-                - name: backup
-                  mountPath: /backup
-          volumes:
-            - name: backup
-              persistentVolumeClaim: { claimName: artista-modelcamp-db-backup }

k8s/base/kustomization.yaml

@@ -5,9 +5,10 @@ kind: Kustomization
 namespace: artista
 resources:
   - config.yaml
+  - storage.yaml
   - postgres.yaml
   - app.yaml
-  - jobs.yaml
+  - worker.yaml
 labels:
   - pairs:
       app.kubernetes.io/part-of: artista-modelcamp

k8s/base/postgres.yaml

@@ -1,14 +1,11 @@
 # PostgreSQL fuer Buchungen, Zahlungen, Gutscheine und Protokoll.
 #
-# SPEICHER: Blockspeicher mit ReadWriteOnce verwenden (z. B. Longhorn,
-# local-path, Ceph RBD). KEINE SMB/CIFS-Freigabe als Datenverzeichnis:
-# SMB bildet POSIX-Sperren, fsync-Garantien und Dateirechte nicht so ab,
-# wie PostgreSQL sie fuer Absturzsicherheit voraussetzt — Datenverlust bei
-# Stromausfall oder Neustart ist die Folge. Sicherungen (backup-CronJob)
-# duerfen dagegen auf SMB/NFS liegen.
-#
-# Alternative fuer hoehere Verfuegbarkeit: CloudNativePG-Operator; dann
-# dieses Manifest weglassen und DATABASE_URL auf dessen Service zeigen lassen.
+# Datenverzeichnis: PVC "artista-modelcamp-postgres-data" (storage.yaml), im
+# Produktions-Overlay auf SMB. Das ist eine BEWUSSTE, vom Betreiber
+# akzeptierte Ausnahme von der Empfehlung "Blockspeicher": SMB garantiert
+# Sperren und fsync nicht in jedem Fall wie ein lokales Dateisystem. Die
+# Mount-Optionen in smb-volumes.yaml sind darauf ausgelegt; Risiken und
+# Hinweise zur Sicherung stehen in docs/BETRIEB.md.
 apiVersion: apps/v1
 kind: StatefulSet
 metadata:
@@ -24,11 +21,14 @@ spec:
       labels:
         app.kubernetes.io/name: artista-modelcamp-postgres
     spec:
+      automountServiceAccountToken: false
+      # Beim Beenden sauber herunterfahren (Checkpoint), bevor das Volume
+      # ausgehaengt wird — auf Netzwerkspeicher besonders wichtig.
+      terminationGracePeriodSeconds: 120
       securityContext:
         runAsNonRoot: true
         runAsUser: 70
         runAsGroup: 70
-        fsGroup: 70
         seccompProfile: { type: RuntimeDefault }
       containers:
         - name: postgres
@@ -52,23 +52,18 @@ spec:
             periodSeconds: 5
           livenessProbe:
             exec: { command: ["pg_isready", "-U", "artista"] }
-            initialDelaySeconds: 30
+            initialDelaySeconds: 60
             periodSeconds: 20
+            failureThreshold: 6
           resources:
             requests: { cpu: 100m, memory: 256Mi }
             limits: { memory: 1Gi }
           securityContext:
             allowPrivilegeEscalation: false
             capabilities: { drop: ["ALL"] }
-  volumeClaimTemplates:
-    - metadata:
-        name: data
-      spec:
-        accessModes: ["ReadWriteOnce"]
-        # storageClassName: longhorn
-        resources:
-          requests:
-            storage: 10Gi
+      volumes:
+        - name: data
+          persistentVolumeClaim: { claimName: artista-modelcamp-postgres-data }
 ---
 apiVersion: v1
 kind: Service

k8s/base/storage.yaml

@@ -0,0 +1,27 @@
+# Die beiden dauerhaften Speicher. Im Produktions-Overlay werden sie fest an
+# die SMB-PersistentVolumes gebunden (k8s/overlays/production/smb-volumes.yaml).
+# Eine separate Sicherung gibt es nicht: die SMB-Freigabe wird auf dem NAS
+# selbst mehrfach gesichert.
+
+# PostgreSQL-Datenverzeichnis.
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: artista-modelcamp-postgres-data
+spec:
+  accessModes: ["ReadWriteOnce"]
+  resources:
+    requests:
+      storage: 10Gi
+---
+# Freigegebene Bilder und Videos. ReadWriteMany, weil mehrere App-Replikate
+# lesen.
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: artista-modelcamp-media
+spec:
+  accessModes: ["ReadWriteMany"]
+  resources:
+    requests:
+      storage: 5Gi

k8s/base/worker.yaml

@@ -0,0 +1,43 @@
+# Worker: gibt abgelaufene Reservierungen frei (nach Rueckfrage bei Stripe),
+# zieht faellige Raten ein, trennt Zahlungsmethoden nach der letzten Rate und
+# versendet den E-Mail-Ausgang. Ohne ihn laufen Ratenzahlung und
+# Reservierungsfreigabe nicht. Idempotent; Forbid verhindert Ueberlappung.
+apiVersion: batch/v1
+kind: CronJob
+metadata:
+  name: artista-modelcamp-worker
+spec:
+  schedule: "*/10 * * * *"
+  timeZone: "Europe/Berlin"
+  concurrencyPolicy: Forbid
+  startingDeadlineSeconds: 300
+  successfulJobsHistoryLimit: 3
+  failedJobsHistoryLimit: 5
+  jobTemplate:
+    spec:
+      backoffLimit: 1
+      activeDeadlineSeconds: 900
+      template:
+        metadata:
+          labels:
+            artista/db-client: "true"
+        spec:
+          restartPolicy: Never
+          automountServiceAccountToken: false
+          securityContext:
+            runAsNonRoot: true
+            runAsUser: 1001
+            seccompProfile: { type: RuntimeDefault }
+          containers:
+            - name: worker
+              image: artista-modelcamp-tools
+              command: ["tsx", "scripts/worker.ts"]
+              envFrom:
+                - configMapRef: { name: artista-modelcamp-config }
+                - secretRef: { name: artista-modelcamp-secrets }
+              resources:
+                requests: { cpu: 50m, memory: 192Mi }
+                limits: { memory: 512Mi }
+              securityContext:
+                allowPrivilegeEscalation: false
+                capabilities: { drop: ["ALL"] }